Alla inlägg den 24 september 2023
Medietilsynet viser til Kommunal- og distriktsdepartementets høringsbrev av 11. november 2022 om NOU 2022:11 Ditt personvern – vårt felles ansvar, og sender med dette vårt høringssvar.
Høringsinnspill til NOU 202211 Ditt personvern – vårt ansvar – Medietilsynets høringsuttalelse
Medietilsynet er statens forvaltningsorgan på medieområdet. Det følger av samfunnsoppdraget at Medietilsynet skal medvirke til å oppfylle de overordnede mediepolitiske målene om ytringsfrihet og demokrati gjennom en åpen og opplyst offentlig samtale, jf. Grunnloven § 100. Medietilsynet medvirker til å fremme de mediepolitiske målene ved å legge til rette for mediemangfold og kritisk medieforståelse i befolkningen.
Personvernkommisjonen skriver i sin utredning at et godt personvern legger grunnlaget for ytringsfrihet, informasjonsfrihet og meningsdannelse. Medietilsynet er enig i dette. Personvernet og ytringsfriheten står noen ganger i et motsetningsforhold, eksempelvis kan personvernhensyn hindre innsyn i informasjon som har allmenn interesse. I den digitale forretningsmodellen er personvernet og ytringsfriheten sammenvevd. En ukontrollert sporing og innsamling av data på tvers av internett og digitale tjenester gir risiko for nedkjølingseffekter, som kan føre til at enkeltpersoner avstår fra å søke etter informasjon på nett, oppsøke nettsider eller å ta del i den offentlige debatten, på bakgrunn av bekymringer for at aktiviteten spores og dataene brukes. Et godt personvern bidrar følgelig til et godt ytringsklima og er relevant for Medietilsynets samfunnsoppdrag.
Teknologien griper stadig mer inn i våre liv og i grunnleggende menneskerettigheter, og skillet mellom den fysiske og digitale verden viskes ut. Barn introduseres for det digitale universet i ung alder, og smarttelefoner og annen skjermteknologi er blitt en integrert del av barns hverdag1 . Globale aktører innhenter store mengder persondata om brukerne som utnyttes til kommersielle formål. Medietilsynet mener derfor det er viktig at vi som samfunn har en helhetlig og proaktiv tilnærming til personvern som en grunnleggende menneskerett.
Etter Medietilsynets vurdering har Personvernkommisjonen levert en svært viktig og ambisiøs utredning, og vi støtter i all hovedsak kommisjonens anbefalinger. Medietilsynet vil særlig trekke fram arbeidet med å involvere barn og unge, og mener det er en styrke at kommisjonen har prioritert å få fram barn og unges perspektiv på spørsmål om personvern.
Medietilsynet har valgt å kommentere de anbefalingene der vi har utdypninger eller forslag til justeringer. Kommentarene under er knyttet til relevante kapitler i utredningen.
Oppsummering
• Medietilsynet støtter kommisjonens forslag om at det bør utarbeides en nasjonal personvernpolitikk, som særlig har oppmerksomhet rettet mot sårbare grupper, som barn og unge. Et mål bør være å gjøre regelverket mer forståelig og tilgjengelig for befolkningen, og at offentlige tiltak utformes slik at de når fram til målgruppene.
• Medietilsynet støtter forslaget om en nasjonal tjenestekatalog, og mener dette kan bidra til bedre samordning og kvalitetssikring av undervisningsoppleggene i skolen.
• Medietilsynet støtter at Utdanningsdirektoratet i større grad skal bistå kommuner med å ivareta sitt behandlingsansvar, men mener dette ansvaret må tydeliggjøres. Eventuelle rutiner og veiledere på personvernområdet bør som utgangspunkt forankres nasjonalt for å sikre en enhetlig og systematisk tilnærming.
• Medietilsynet støtter kommisjonens forslag til tiltak for å beskytte elever mot kommersiell utnyttelse av deres persondata og eksponering av reklame på skolens digitale verktøy. Det bør prioriteres offentlige forskningsmidler til å undersøke hvordan kommersielle aktørers bruk av barns persondata påvirker deres skolehverdag og privatliv.
1 Medietilsynets undersøkelse Barn og medier 2022 viser at 93 prosent av alle barn mellom ni og elleve år har egen mobiltelefon, og at 90 prosent av barn mellom 9 og 18 år bruker sosiale medier i 2022: https://www.medietilsynet.no/fakta/rapporter/barn-og-medier/
• Medietilsynet støtter forslaget om at skolen må styrke opplæringen i personvern som en grunnleggende menneskerettighet, og understreker at det er viktig å starte personvernopplæringen i tidlig barneskolealder.
• Medietilsynet støtter kommisjonens anbefaling om at kommunene bør legge til rette for reelle medvirkningsmuligheter for elever og foresatte i beslutninger som berører barns personvern, og mener dette er særlig viktig i en tid hvor bruk av digitale tjenester gjør at skillet mellom skole og fritid viskes mer og mer ut.
• Medietilsynet mener DSA vil styrke norske brukeres personvern, og anbefaler at det legges til rette for et effektivt tilsyn og håndheving av DSA i Norge.
• Medietilsynet er enig i at det er behov for et enhetlig regelverk for behandling av persondata, men mener det er viktig at regelverksendringer om bruk av informasjonskapsler ikke fører til en forskjellsbehandling av nasjonale og globale aktører.
• Medietilsynet støtter et forbud mot atferdsbasert markedsføring mot mindreårige, men vil påpeke at en aldersvurdering basert på sannsynlighet, slik det legges opp til i DSA, er lite presis og vanskelig å håndheve. Norge bør derfor prioritere arbeidet med å innføre endringsforslaget til eIDASforordningen etter at dette er vedtatt i EU. Når det gjelder flertallets forslag om å utrede et generelt forbud mot atferdsbasert markedsføring, stiller Medietilsynet spørsmål ved om en utredning er riktig virkemiddel, og mener at utfordringene med illegitim sporing og uønsket atferdsbasert markedsføring langt på vei kan løses gjennom en effektiv håndheving og god utnyttelse av europeiske regelverk.
• Medietilsynet støtter kommisjonens forslag om å nedsette et lovutvalg for å gjennomgå og foreslå endringer i regelverk for å beskytte barn og unge i digitale flater, og mener dette arbeidet bør prioriteres. Medietilsynet mener det er nødvendig med en helhetlig gjennomgang av alle sektorspesifikke lovverk som skal beskytte barn på nett, og at dette arbeidet må ses opp mot relevante lovgivningsprosesser i EU.
•Medietilsynet mener det er problematisk å overlate alle sider av regulering og beskyttelse av barn til foreldrene. Norge bør stille tydeligere krav til de store globale aktørene, slik at de tar ansvar for mindreårige brukere.
• Medietilsynet er enig i at det er viktig å øke kompetansen når det gjelder personvernutfordringer knyttet til innhold delt av foreldre og andre barn, men stiller spørsmål ved om en veileder er beste fremgangsmåte for å nå ut til målgruppene. Det er viktig at regelverket knyttet til barns samtykkekompetanse er klart og tydelig, og Medietilsynet mener regjeringen bør følge opp Barnelovsutvalgets forslag om å lovfeste barns rett til å nekte deling av personopplysninger.
• Medietilsynet støtter kommisjonens anbefaling om å styrke samarbeidet mellom norske tilsynsmyndigheter. Det bør etableres et formalisert norsk tilsynssamarbeid innen digitalfeltet, med et videre mandat enn forbrukerrettigheter og i tillegg til eksisterende samarbeid under de enkelte regelverkene.
Merknader til kapittel 1
Kapittel 1.2 En nasjonal personvernpolitikk
En av hovedanbefalingene til Personvernkommisjonen er at det skal utarbeides en nasjonal personvernpolitikk, som kan bidra til å sikre reell ivaretakelse av personvernet. Departementet ber særlig om høringsinstansenes merknader til dette forslaget, herunder behovet for og eventuelt forslag til elementer som kan inngå i en nasjonal personvernpolitikk.
Medietilsynet støtter kommisjonens forslag om å utarbeide en nasjonal personvernpolitikk som ser personvernet i et helhetlig perspektiv. Medietilsynet er enig med kommisjonen i at en nasjonal personvernpolitikk særlig bør ha oppmerksomhet rettet mot sårbare grupper, som barn og unge.
Det samles inn store mengder personopplysninger om barn på mange ulike plattformer. Samtidig har over halvparten av foreldrene til barn i aldersgruppen 9-10 år tatt i bruk teknologi som sporer eller viser hvor barnet er.2 Konsekvensene av dette er lite utforsket. Det bør prioriteres å innhente mer kunnskap om hvordan teknologiutviklingen påvirker barns grunnleggende rett til privatliv, og denne innsikten bør ligge til grunn for den nasjonale personvernpolitikken.
Barn lever i en digital verden, hvor retten til privatliv er under press, og det er vanskelig å ha kontroll på egne personopplysninger. I Medietilsynets nye undersøkelse Digitale dilemmaer3 om barns debut på mobil og sosiale medier, kommer det frem at flere foreldre føler seg alene om den digitale oppdragelsen, og at det kan være vanskelig å orientere seg når det gjelder anbefalinger. Et mål for en personvernpolitikk bør være at det offentlige bistår foreldre og barn i den digitale hverdagen gjennom tydelige og koordinerte anbefalinger og løsninger, og at offentlig sektors tjenester reflekterer den nye hverdagen barn og foreldre står i. Det er viktig at offentlige tiltak koordineres og utformes slik at de når fram til målgruppene, slik som ung.no, som er en viktig kanal for å nå barn og unge.
2 Medietilsynet: Foreldre og medier 2022
3 Medietilsynet: Digitale dilemmaer – en undersøkelse om barns debut på mobil og sosiale medier, 7. februar 2023; https://www.medietilsynet.no/globalassets/publikasjoner/barn-og-medierundersokelser/2022/230206_digitale-dilemmaer.pdf
Medietilsynet mener at beslutninger som kan få stor prinsipiell betydning for barns rett til privatliv, må bli gjenstand for en bred offentlig debatt. Et eksempel er strømming av kamper i ungdomsidretten, som reiser viktige prinsipielle spørsmål rundt barns rett til privatliv og deltagelse.
Etter Medietilsynets vurdering oppleves personvernregelverket i mange tilfeller som tungt og utilgjengelig. Medietilsynet støtter derfor kommisjonens forslag om å styrke kompetansen knyttet til personvern i offentlig sektor. I tillegg mener Medietilsynet at et mål for en nasjonal personvernpolitikk, bør være å gjøre regelverket mer forståelig og tilgjengelig både for befolkningen og behandlingsansvarlig. God veiledning og informasjon er etter Medietilsynets vurdering et sentralt virkemiddel for at regelverket overholdes, og for at forbrukernes rettigheter blir ivaretatt.
Merknader til kapittel 8
Kapittel 8.4.1 Nasjonale føringer
Kommisjonen skriver i sin utredning at det er et inntrykk at kommunene har behov for mer praktisk rettet veiledning fra nasjonale myndigheter, og foreslår blant annet at det opprettes en nasjonal tjenestekatalog for digitale læringsmidler.
Medietilsynet støtter dette forslaget. Medietilsynet erfarer at det er lite samordning mellom offentlige aktører, også når det gjelder undervisningsopplegg produsert av det offentlige. En nasjonal tjenestekatalog kan bidra til å samordne feltet på en bedre måte, og sikre tilstrekkelige undervisningsressurser som er alderstilpasset de ulike risikoene barn og unge møter på nett. Videre kan en nasjonal tjenestekatalog bidra til bedre kvalitetssikring og oppdatert kunnskap i undervisningsoppleggene som distribueres i den norske skolen. Det er viktig at en nasjonal tjenestekatalog både sikrer kvalitet, oppdatert informasjon og ivaretar personvernet.
Kapittel 8.4.3 Ansvar og rutiner
Personvernkommisjonen skriver at kommunene og behandlingsansvarlige i større grad må utarbeide tilpassede rutiner og veiledning til skoleledelse og lærere. Videre mener kommisjonen at Utdanningsdirektoratet i større grad bør hjelpe og tilrettelegge for at kommunene kan ivareta sitt behandlingsansvar etter personvernregelverket.
Medietilsynet støtter at Utdanningsdirektoratet i større grad skal bistå kommunene, slik at de kan ivareta sitt behandlingsansvar etter personvernregelverket. Medietilsynet mener imidlertid at dette ansvaret bør tydeliggjøres. Etter Medietilsynets vurdering bør Utdanningsdirektoratet ha det koordinerende ansvaret for at kommuner, skoleledere og elever har nødvendige verktøy, kompetanse og ressurser for å ivareta elevenes personvern.
Behovet for samordning av offentlig innsats er blant annet vist til i nasjonal strategi for trygg digital oppvekst, Rett på nett (2021)4 . Strategien påpeker behovet for bedre organisering, slik at tiltak, planer og initiativ på ulike fagfelt blir bedre koordinert og mer målrettet. Medietilsynet mener det er en fordel at eventuelle rutiner og veiledere på personvernområdet i utgangspunktet forankres nasjonalt, for å sikre en enhetlig og systematisk tilnærming. I det minste bør eventuelle tilpassede rutiner og veiledning fra kommunen til skoleledelse og lærere ta utgangspunkt i nasjonale føringer. Her kan kommisjonens forslag om å utarbeide en personvernnorm for skoleog barnehagesektoren, være et godt utgangspunkt.
Kapittel 8.4.4 Bruk av elevers personopplysninger til kommersielle formål
I kapittel 8.4.4 trekker kommisjonen frem flere utfordringer knyttet til bruk av tjenester i skolen som leveres av kommersielle aktører, herunder bruk av elevers personopplysninger til kommersielle formål og eksponering for reklame.
Medietilsynet mener kommisjonen belyser viktige utfordringer, som det bør prioriteres å gjøre noe med. Medietilsynet støtter derfor kommisjons forslag til tiltak for å beskytte elever mot kommersiell utnyttelse av deres persondata og eksponering av reklame på skolens digitale verktøy. I dag er det liten kunnskap om hvordan barns data fra skoleplattformer brukes av kommersielle aktører, og hvordan dette påvirker barns skolehverdag og privatliv. Medietilsynet mener at offentlige forskningsmidler bør prioriteres til å undersøke dette, og at det trengs tiltak for å få kontroll over barns persondata i skolesammenheng.
Kapittel 8.4.7 Undervisning i personvern
Personvernkommisjonen mener skolen må styrke opplæringen om personvern som en grunnleggende menneskerettighet. Medietilsynet støtter forslaget, og understreker at det er viktig at personvernopplæringen starter i tidlig alder.
Medietilsynets nye undersøkelse Digitale dilemmaer5 viser at barneskolebarn har lav bevissthet om retten til privatliv. Barna ser det som naturlig at foreldrene bruker ulike sporingsapper som forteller hvor de er til enhver tid, og noen opplever det som en plikt å være digitalt synlig for vennene sine, for eksempel på Snapmap. For de fleste barn og unge er sosiale medier og digitale tjenester en viktig del av hverdagen. Det er derfor nødvendig at unge brukere forstår hvordan forretningsmodellen for kommersielle internettjenester fungerer, og hvordan persondata samles inn og kan brukes til å målrette innhold. Medietilsynet mener at kunnskap om barns rett til privatliv og personvern bør være en del av grunnopplæringen fra tidlig barneskolealder, fordi forståelsen av personvern er en viktig allmennkunnskap.
4 https://www.regjeringen.no/no/dokumenter/rett-pa-nett/id2870086/
5 Medietilsynet: Digitale dilemmaer – en undersøkelse om barns debut på mobil og sosiale medier, 7. februar 2023
Kapittel 8.4.8 Barn og foresattes rettigheter
Medietilsynet støtter Personvernkommisjonens anbefaling om at kommunene bør legge til rette for reelle medvirkningsmuligheter for elever og foresatte i beslutninger som berører barns personvern. I Medietilsynets kvalitative undersøkelse Digitale dilemmaer6 , om norske familiers digitale hverdagsliv, kommer det frem at mange barn og foreldre opplever skolenes teknologiske løsninger som problematiske. Teams-chatten ble trukket fram av flere. De pekte på at brukernavn og passord kommer fra skolen, og var laget på en så usikret måte at det var lett å gjette seg til de andres passord. I et konkret tilfelle hadde noen elever gjettet passordet til en gutt i klassen. De utga seg for å være ham og sendte stygge meldinger. Foreldrene i undersøkelsen ga også uttrykk for at skolen ikke tok deres bekymringer på alvor, og opplevde å stå alene om å håndtere utfordringene med skolens digitale løsninger
Medietilsynet mener elevers og foreldres medvirkning er særlig viktig i en tid hvor skillet mellom skole og fritid viskes mer og mer ut, noe som ble ytterligere forsterket med koronapandemien og digital hjemmeskole.
Merknader til kapittel 9
Kapittel 9.2.6 Forbrukernes muligheter til å ivareta eget personvern
Medietilsynet er enig i kommisjonens beskrivelse av personvernutfordringene forbrukerne står overfor på internett. Ansvaret for personvernet er langt på vei overlatt til den enkelte bruker, som har begrenset mulighet til å ha kontroll med egne personopplysninger og verne om sitt eget privatliv. Omfanget av samtykkeerklæringer kombinert med omfattende brukervilkår kan gi brukerne en avmaktsfølelse. Enkelte internettjenester har blitt en så viktig del av informasjonsinfrastrukturen, at det å velge bort tjenesten kan oppleves som et valg om å stå utenfor fellesskapet. Det kan stilles spørsmål ved om et samtykke til behandling av personopplysninger etter personvernforordningen er informert eller reelt. Dette er en systemisk utfordring, som ikke kan overlates til den enkelte bruker, og krever løsninger i form av regelverksendringer og effektiv håndheving av regelverket.
6 Medietilsynet: Digitale dilemmaer – en undersøkelse om barns debut på mobil og sosiale medier, 7. februar 2023
Kapittel 9.3.2: Kommende europeisk regulering
Personvernkommisjonen redegjør for europeiske reguleringer som berører personvernfeltet, blant annet Digital Services Act (DSA) og Digital Markets Act (DMA). Forordningene trådte i kraft etter at kommisjonen leverte sin utredning, og er EØS-relevante. Kommisjonen anbefaler at «norske myndigheter tar ansvar for å beskytte norske forbrukeres personvern ved å føre en offensiv personvernpolitikk opp mot EU».
Medietilsynet mener DSA styrker norske brukeres personvern. Blant annet innfører DSA et forbud mot atferdsbasert markedsføring rettet mot mindreårige, og mot manipulerende design som brukes til å styre brukerne til å ta valg som primært tilbyderen av tjenesten har fordelene av. De største plattformtjenestene pålegges etter DSA å gjøre vurderinger av systemisk risiko, blant annet om hvordan tjenestene negativt påvirker grunnleggende rettigheter som personvernet og ytringsfriheten, og mindreåriges fysiske og psykiske helse. 7
DSA introduserer en ny håndhevingsmodell. Europakommisjonen har håndhevingsansvaret for de største plattformene i DSA og DMA. På nasjonalt nivå skal det etableres en koordinator for digitale tjenester, som får ansvaret for å håndheve DSA nasjonalt og dokumentere brudd på bestemmelsene. DSA gir følgelig et handlingsrom for en reell norsk påvirkning av plattformer, inkludert de største globale plattformene.
Medietilsynet anbefaler at det legges til rette for et effektivt tilsyn og håndheving av DSA i Norge, og viser til Medietilsynets høringssvar til Ytringsfrihetskommisjonens utredning, NOU: 2022-9, for en mer detaljert anbefaling. 8
9.3.1.1 Særnorsk implementering av kommunikasjonsverndirektivet
Ekomloven er en særnorsk implementering av kommunikasjonsverndirektivet, som innebærer at regelverket for samtykke til bruk av informasjonskapsler etter ekomloven er annerledes enn i personvernforordningen. Personvernkommisjonen mener det er behov for en mer enhetlig forvaltning av personvernregelverket, og at bestemmelsene i personvernforordningen bør legges til grunn for reguleringen av sporingsteknologi.
Medietilsynet er enig med kommisjonen i at det er behov for et enhetlig regelverk for behandling av persondata, og har i høringssvaret til ny ekomlov, ny ekomforskrift og endringer i nummerforskriften, stilt seg positiv til endringer i regelverket, 9 begrunnet i behovet for å styrke brukernes personvern. Samtidig er det nødvendig å sørge for at eventuelle regelverksendringer ikke fører til å øke konkurranseforskjellene mellom nasjonale og globale aktører i det digitale annonsemarkeder.
7 https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32022R2065&from=EN
Norske mediers bruk av informasjonskapsler etter ekomloven har vært viktig i konkurransen med globale plattformselskaper i det digitale annonsemarkedet. Globale plattformselskaper opererer i et lite regulert marked, brudd på personvernreglene har i liten grad fått konsekvenser, og selskapene har lavere skattesats enn norske medievirksomheter. Globale innholdsplattformer har samtidig opparbeidet rike datasett på egne plattformer og på tvers av internett, og har tatt en stor andel av det digitale annonsemarkedet på bekostning av norske redaktørstyrte medier. At dette ikke har gått utover mediemangfoldet skyldes blant annet stor omstillingsevne hos medievirksomhetene, kombinert med et generelt voksende annonsemarked.10 I en økonomisk nedgangstid forventes det at mediebedriftene blir enda mer sårbare for konkurransen i annonsemarkedet.
Medietilsynet mener det er viktig å sikre like konkurransevilkår, og at ikke personvernregelverket og håndhevingen av ekomloven og GDPR i realiteten gir en fordel til globale plattformer sammenlignet med redaktørstyrte medier og andre norske virksomheter.
Kapittel 9.4.2 Illegitim sporing og profilering
Medietilsynet deler Personvernkommisjonens bekymring for at store deler av det digitale annonsesystemet er ute av kontroll. Rike datasett og atferdsbasert målretting er fundamentet i plattformøkonomien og det kommersielle internettet. Forretningsmodellen gir et insentiv til å samle inn mest mulig data og kapitalisere på disse dataene overfor annonsører. Selskaper som Alphabet og Meta kontrollerer mye av annonseinfrastrukturen, og er blant verdens mest verdifulle selskaper. Forretningsmodellen som ble etablert av internettselskaper er attraktiv for andre bransjer. Telekomoperatørene Vodafone, Orange, Telefónica og Deutsche Telecom har varslet Europakommisjonen om at de vil etablere en europeisk annonseplattform,11 basert på innsamling av persondata og atferdsbasert markedsføring. Denne utviklingen synliggjør behovet for et tydelig regelverk for behandling av persondata, for å motvirke den illegitime sporingen.
Kombinasjonen av brukernes manglende kontroll over egne persondata, illegitim sporing og atferdsbasert markedsføring, utgjør en utfordring for det digitale privatlivet, ytringsfriheten og demokratiet. Medietilsynet mener det er viktig å møte utfordringene med en strengere håndheving av personvernforordningen (GDPR), og at nye regelverk som DSA, DMA og rettsakten for kunstig intelligens, brukes aktivt for å sikre brukernes rettigheter. Medietilsynet anbefaler at norske myndigheter aktivt utnytter mulighetene som ligger i disse regelverkene for å stanse en illegitim sporing og profilering.
11 https://ec.europa.eu/competition/mergers/cases1/202302/M_10815_8844242_215_3.pdf
Forbud mot atferdsbasert markedsføring mot mindreårige: Ni av ti 9-18-åringer i Norge er på sosiale medier. De aller fleste har en konto på YouTube, Snapchat og TikTok,12 som er attraktive markedsføringskanaler mot denne gruppen. Barn og unge er sårbare for målrettet markedsføring og har et særlig behov for beskyttelse mot skadelig innhold og atferdsbasert markedsføring. DSA innfører et forbud mot atferdsbasert markedsføring rettet mot brukere som «etter all sannsynlighet» (with reasonable certainty) er mindreårige. Medietilsynet støtter et forbud mot atferdsbasert markedsføring mot mindreårige, men vil påpeke at en aldersvurdering basert på sannsynlighet er lite presis og vanskelig å håndheve. Hvis tilbyderne som et svar på forbudet utvikler egne løsninger for verifisering av alder, for eksempel ved bruk av ansiktsgjenkjenning eller andre identifikatorer, er det i seg selv en uønsket personvernrisiko.
Medietilsynet mener derfor det er behov for en offentlig standardisering av elektronisk ID på europeisk nivå, som muliggjør aldersverifisering for de globale tjenestene. Endringsbestemmelsen til eIDAS-forordningen13 tar sikte på å innføre en slik elektronisk ID, en digital lommebok som kan brukes til aldersverifisering. Europakommisjonens forslag er nå til behandling i EU, og personvernhensyn er en sentral del av vurderingen. Det er lagt opp til at mindreårige brukere vil kunne bruke den digitale lommeboken. Innføringen av eID er ikke uten dilemmaer. Det er blant annet viktig å forsikre seg om at brukere ikke ekskluderes, eksempelvis på bakgrunn av at barna eller deres foresatte ikke har tilstrekkelig digital kompetanse. Medietilsynet mener likevel at en offentlig godkjent elektronisk id-løsning er et viktig virkemiddel for å skjerme mindreårige mot atferdsbasert markedsføring, og at en felles standard vil gjøre det enklere for tilbydere av digitale tjenester å overholde aldersgrensene på egne plattformer. En identifisering gjør det i tillegg enklere å håndheve forbudet i DSA. Medietilsynet mener derfor at arbeidet med en norsk innføring av endringene i eIDAS-forordningen bør prioriteres etter at regelverket er vedtatt i EU.
Generelt forbud mot atferdsbasert markedsføring: Flertallet i Personvernkommisjonen mener et generelt forbud mot atferdsbasert markedsføring er nødvendig for å beskytte norske og europeiske forbrukere, og bør utredes. Mindretallet mener at atferdsbasert markedsføring kan gjøres på en ansvarlig og legitim måte, og at et forbud vil ramme finansieringen av mediene, og støtter derfor ikke forslaget om en utredning på de premissene som flertallet legger til grunn.
12 https://www.medietilsynet.no/nyheter/aktuelt/farre-av-de-yngste-er-pa-snapchat-og-tiktok-enn-for-toar-siden/
13 https://www.regjeringen.no/no/sub/eos-notatbasen/notatene/2021/des/endringsbestemmelser-ieidas-forordningen/id2905581/
Medietilsynet er enig i at innhenting og bruk av data er ute av kontroll, og at det er behov for å styrke håndhevingen av regelverket. Brukerne har begrenset mulighet til å velge bort sporing, og det er vanskelig å forstå rekkevidden av hva et samtykke egentlig innebærer. Dette gjør brukerne sårbare for en forretningsmodell som er bygget på målrettet markedsføring.
Et effektivt forbud mot atferdsbasert markedsføring, særlig overfor de globale plattformene, forutsettes å forankres i et europeisk regelverk. Forbud mot atferdsbasert markedsføring ble grundig diskutert i Europaparlamentet og Ministerrådet under behandlingen av DSA, men oppnådde ikke et flertall. Medietilsynet er enig med kommisjonen i at det er viktig med et godt faktagrunnlag for å vurdere målrettingens positive og negative sider, men stiller spørsmål ved om en utredning er riktig virkemiddel, og om det er realistisk at en utredning vil føre til endringer i nylig vedtatte europeiske regelverk.
Medietilsynet mener det er behov for mer forskning om målrettingens positive og negative sider, både fra brukernes perspektiv og fra et samfunnsperspektiv. Det er da viktig å skille mellom legitim og illegitim sporing, målrettet markedsføring og målrettet innhold, behandling av førstepartsdata samlet inn på egne tjenester og tredjepartsdata samlet inn på tvers av internett. Medietilsynet mener det bør vurderes å innføre et forbud mot omsetning og bruk av tredjepartsdata. Dette vil være et treffsikkert tiltak mot den ukontrollerte omsetningen av persondata, men vil ha begrenset effekt på globale plattformers bruk av persondata høstet inn på egne plattformer og på internett over mange år.
Tilgangen til persondata har gitt globale aktører en konkurransefordel i annonsemarkedet. Dette har ført til at mange annonsører foretrekker globale plattformer for digital annonsering, 14 som igjen har gått ut over finansieringen av redaktørstyrte medier. Flere medievirksomheter har møtt konkurransen ved å tilby nasjonale løsninger for atferdsbasert markedsføring. Et generelt forbud mot atferdsbasert markedsføring vil kunne ha negative konsekvenser for norske mediers inntekter og for mediemangfoldet.
Medietilsynets oppfatning er at utfordringene på globale plattformer langt på vei kan løses gjennom effektiv håndheving og god utnyttelse av europeiske regelverk, som GDPR, DSA og Digital Markets Act (DMA). DMA vil pålegge teknologigigantene å avstå fra å utveksle persondata mellom egne tjenester eller med persondata tilbudt av tredjeparter, etter artikkel 5.15 Artificial Intelligence Act er under behandling i EU, og kan også kunne anvendes for å styrke personvernet. De nye regelverkene stiller strengere krav til store plattformer og tjenester der risikoen er høy, nettopp for å unngå at regelverket utilsiktet rammer mindre tjenester. En tilsvarende differensiering er ikke en del av GDPR. Håndhevingsmodellen, der det irske datatilsynet har tilsynsansvar for flere av verdens største teknologiselskaper, har ført til et betydelig etterslep av saker og en svak rettspraksis.16 Dette innebærer en forskjellsbehandling mellom store globale aktører og små og mellomstore nasjonale aktører, som har negative konsekvenser for norske virksomheter og norske forbrukere.
15 https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52020PC0842&from=en
En bedre håndheving av GDPR er derfor et viktig tiltak mot illegitim sporing og uønsket atferdsbasert markedsføring. Det europeiske personvernrådet (EDPB) har sørget for en mer aktiv håndhevingspolitikk, som har styrket brukernes personvern og bidratt til å etablere en rettspraksis for globale plattformer.17 I DSA og DMA er Europakommisjonen tildelt tilsynsansvaret for de største globale tjenestene og tilbyderne, for å sikre tilstrekkelig ressurser til håndhevingen av regelverkene. Medietilsynet mener at en ytterligere forsterkning av håndhevingen av GDPR kan oppnås ved at Europakommisjonen tildeles håndhevingskompetanse for de største virksomhetene, slik som i DSA og DMA.
Medietilsynet deler Personvernkommisjonskommisjonens vurdering av at det er behov for omfattende tiltak for å verne forbrukerne mot illegitim sporing og uønsket atferdsbasert markedsføring, men mener bedre utnyttelse og håndheving av eksisterende og nye europeiske regelverk er viktige tiltak. Selv om Medietilsynet støtter mindretallets posisjon, vil vi samtidig bemerke at avstanden mellom flertallet og mindretallet ikke virker stor, og at kommisjonen fremstår samlet i anbefalingen om å iverksette tiltak mot illegitim sporing på internett.
Kapittel 9.4.3 Manipulerende design
Medietilsynet er enig med Personvernkommisjonen i at det foreslåtte forbudet mot manipulerende design i forordningen for digitale tjenester (Digital Services Act - DSA) styrker forbrukernes muligheter til å ivareta eget personvern på nett.
Medietilsynet vil understreke at DSA gir et norsk handlingsrom for å sikre at manipulerende design blir sanksjonert, og at dette forutsetter en grundig dokumentasjon av regelverksbrudd i Norge. En norsk koordinator for digitale tjenester får ansvar for å håndheve DSA i Norge. DSAs artikkel 53 åpner for at norske brukere og organisasjoner kan melde inn dokumenterte brudd på forordningen til koordinator. En koordinator som har tilstrekkelige ressurser, kombinert med et sivilsamfunn som aktivt bidrar til å dokumentere ulovlig bruk av manipulerende design i Norge, vil etter Medietilsynets syn både styrke håndhevingen av DSA og bidra til å styrke personvernet for norske brukere.
16 https://www.techcentral.ie/data-protection-commissioner-fails-to-resolve-98-of-big-tech-gdpr-cases/
17 https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2023/overtredelsesgebyr-til-facebook-oginstagram/
